SSH その8

2014/04/25(金) 18:50:57.67
SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

■前スレ
SSH その7
http://toro.2ch.net/test/read.cgi/unix/1266323017/

■過去スレ
その6 http://pc12.2ch.net/test/read.cgi/unix/1202782840/
その5 http://pc11.2ch.net/test/read.cgi/unix/1145484540/
その4 http://pc8.2ch.net/test/read.cgi/unix/1102242908/
その3 http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
その2 http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
その1 http://pc.2ch.net/unix/kako/976/976497035.html
2014/05/02(金) 01:28:27.26
ChrootDirectoryの親まではroot-ownedでroot以外not writableという制限は分かるような気がするんだけど、
例えば、chroot先を/home/oresama/ に指定するとき oresama がroot以外not writableになってると
oresamaは自分のホームディレクトリのはずなのにディレクトリもファイルも作れない。
ちょっと厳しくないかと思う。
2014/05/02(金) 01:37:37.96
>>58
「あのぉ、root先輩、ChrootDirectoryを /home/watashi/dakeno/himitsu/ にしてもらえませんかぁ。」って頼んで
「おっふ、やっといた」となったら
rmdir /home/watashi/dakeno/himitsu
ln -s /root /home/watashi/dakeno/himitsu
「計画通〜り」ってことだよね。
このためには/home/watashi/dakeno がwritableでなければ出来ないでしょ。
himitsu は writableでもかまわないんじゃないだろうか。
2014/05/02(金) 02:16:52.55
>>60
Chrootにつっこまれる他のユーザを騙すことはできるようになるな
2014/05/02(金) 08:37:42.29
>>59
/etc/shadowとか自由に作れるがそれでいいのか?
2014/05/02(金) 11:33:29.13
そっか、mv して新しく作ることが可能になるのか。
いくない。それは、いくないな。
2014/05/02(金) 13:58:00.45
>>59
あんま詳しくないけど、chroot先とホームディレクトリは別々じゃなかったけ？
2014/05/02(金) 14:16:39.82
OpenSSH No Longer Has To Depend On OpenSSL - Slashdot
http://beta.slashdot.org/story/201419

試してみたい
2014/06/01(日) 20:18:44.75
VPN経由でSSHって使えないの？
2014/06/01(日) 23:32:48.58
>>66
何か使えない理由ある？
2014/06/02(月) 02:05:58.72
宗教上の理由とか。
2014/06/02(月) 08:26:24.30
中国とかは法律的な理由もあるかも
暗号化通信は当局が解読可能な状態にしないと駄目なんだっけ？
VPN張る事自体問題視されるとか聞いたことあるけど
2014/06/02(月) 09:52:55.95
それ>>66とは別の話だよね。
2014/09/14(日) 17:08:34.71
今SSHについて勉強してます。
どなたかRSA1、RSA、DSAの違いにつ
いて教えて頂けませんか？

メリット、デメリットがわからず、どれを使って良いのかわかりません。

自分で調べろやは無しでお願いします。
2014/09/14(日) 17:09:54.63
挿入ネタはいいです
2014/09/14(日) 17:17:26.72
挿入ねたって？
2014/09/14(日) 19:08:03.88
>>71
shでも学んでろ。

532 名無しさん＠お腹いっぱい。 sage 2014/09/14(日) 17:11:01.54
今シェルについて勉強してます。
どなたかash、bsh、cshの違いにつ
いて教えて頂けませんか？

メリット、デメリットがわからず、どれを使って良いのかわかりません。

自分で調べろやは無しでお願いします。
2014/09/14(日) 19:22:24.51
>>74
なに(笑
このコピペみたいなカキコは！(笑)

お、俺じゃないんだからね
2014/09/17(水) 05:52:02.33
みたいなじゃなくて改変コピペそのもの
こんなつまらんことを時々思い出したかのように繰り返してる狂人だからスルー推奨
2014/09/17(水) 06:35:04.81
改変コピペ上等。全力で釣られるのが真の漢
2014/09/17(水) 10:46:58.43
基地外本人乙
2014/10/10(金) 08:24:44.85
# netstat -n | grep 22
したら、知らないホストでESTABLISHED接続になってて
# cat /var/log/secure| grep 知らないホスト(ロボット？)
から複数のアタックがあったのだけど、session openってログ無かったんですが、
ssh のセッションがESTABLISHEDになることってあるのでしょうか？
2014/10/10(金) 08:59:26.03
catが無駄です
2014/10/10(金) 11:44:06.96
>>79
あります
2014/10/10(金) 11:54:05.56
>>79
tcpのセッションとsshのセッションを分けて考えないと。
2014/10/10(金) 13:28:43.78
>>81, >>82
ありがとうございます。

/var/log/secureでsession openになってないので気にしなくていいのですね。
ポートNo変えようかなーと思ってます。
2014/10/11(土) 09:48:05.32
>83 なんなら log をverbose にして暫く見張る。ま、port 番号変えるほうが対策になるけど。
2014/10/11(土) 16:18:08.65
秘密鍵使ってて、sshポートのハッキングなんてあるえるのでしょうか。
2014/10/11(土) 17:07:57.77
>>85
マスコミじゃないんだからクラッキングとか攻撃とか呼ぼうぜ。
回答：sshd自体に脆弱性があれば普通に吹っ飛ばされるよ。
http://jvndb.jvn.jp/ja/contents/2008/JVNDB-2008-002571.html
http://jvndb.jvn.jp/ja/contents/2008/JVNDB-2008-002570.html
http://jvndb.jvn.jp/ja/contents/2006/JVNDB-2006-000763.html
http://jvndb.jvn.jp/ja/contents/2003/JVNDB-2003-000274.html
2014/10/11(土) 18:17:34.19
>>85
パスワード認証許可してないかノックしてるんだろ。
2014/10/11(土) 19:05:26.71
>>85 とある共用鯖で、アホな鯖管がルート奪取脆弱性ありのカーネル放置していて、これまたよく分かってないユーザが、何人も公開鍵、秘密鍵を一遍に取られてえらいことになった、つう事案があったよ。
2014/10/11(土) 21:33:37.26
「公開鍵を送ってくれ」と言ったら
秘密鍵も送ってくるユーザーの多いこと多いこと。
2014/10/13(月) 00:01:52.96
そういうのは9割が中国からだから、
http://freetibet.org/about/human-rights-tibet
の中身を返すようにしてる
91名無しさん＠お腹いっぱい。
垢版 |
2014/10/13(月) 16:13:39.16
>>90
coolですな。
2014/10/14(火) 04:44:30.79
TCPラッパーが使えなくなると地味に困るなあ・・・
なんでサポート切っちゃうんでしょうか
2014/10/14(火) 17:23:56.12
もしかしたら ifconfig みたいにメンテナがいないからじゃない？
ftp 覗いてみたら tcp_wrappers_7.6.tar.gz のタイムスタンプは Apr 8 1997 だった
2014/10/14(火) 17:28:46.50
sshd -iでinetdから上げるようにしてinetdのtcpwrapperを使うかね
2014/10/14(火) 17:54:06.39
inetdサポートもそのうち削られそうだ
2014/10/14(火) 19:42:41.99
sshd_configのMatch AddressとDenyUsers, AllowUsersあたりでかわりにがんばれってことかなぁ
とりあえずはpf.confでやるけど
2014/10/14(火) 19:43:18.68
リロードめんどいな
2014/10/14(火) 19:47:07.53
PAMでやれ、ってことかな。
pam_accessとかpam_login_accessとか。
2014/10/14(火) 19:59:17.14
参考
http://marc.info/?t=139815213700004
http://marc.info/?t=139827570900003
100名無しさん＠お腹いっぱい。
垢版 |
2014/10/18(土) 10:07:44.17
誰か知ってたら教えて欲しいんだけど、UseDNSって何のために存在しているの？

manとか見るとクライアントのIPから逆引きでホスト名を確認して
IPアドレスとホスト名のマッピングが出来なかったら接続を許可しないって動きの
ようにみえるんだけど…

この辺の詳しい動きがよくわからん
2014/10/18(土) 11:02:42.57
「逆引きまともに設定してないやつらなんて信用できるか!」
って人のために存在している。
2014/10/18(土) 11:03:43.55
クライアントの IP アドレスを逆引きしてホスト名を得る
→そのホスト名を正引きして IP アドレスを得る
→その IP アドレスが元のと一致してなかったら蹴る
2014/10/18(土) 11:42:47.38
そんなごく当たり前のIP逆引きチェックそのものを質問してるわけない、
質問の意図は別のところにある、と見るべき引っかけ問題。
2014/10/18(土) 12:39:10.85
んじゃどんな意図なんだろ
2014/10/18(土) 12:52:20.85
UseDNSをnoにすることってないのになぜオプションがあるのか、という質問？
IP解決はDNSとは限らない(NISとかhostsとか)のになぜDNSという設定名？
2014/10/18(土) 12:55:17.30
逆引き出来ないクライアントから接続しているユーザーからの
「なんかログインに時間かかるんだけど」というクレームに
対応するため、逆引きをしないようにする機能だろ。
2014/10/18(土) 12:59:58.93
「それは逆引き設定しろ」と言えば済む話で、sshdの設定を変えるべきではない。
2014/10/18(土) 13:08:08.17
>>107
そう思う人はそうすればいい。
2014/10/18(土) 13:12:02.82
釣りだったか。
2014/10/18(土) 13:13:29.54
１ユーザーの逆引き無視要求で、全ユーザーの逆引きチェックを無効(危険)に晒すなんて、、
2014/10/18(土) 13:25:57.51
逆引きチェックしてもあんまり意味ないと思う。
2014/10/18(土) 13:47:55.43
ごめん、言葉が足らなかった。

このUseDNS、デフォルトだとYesになっていると思うんだけど、クライアントが逆引き出来ない状態
(DNSサーバへの接続が出来ない状態やそもそもレコードにIPが登録されていない状態)でもSSHって接続出来るじゃない？

だとしたら、どういう時に使えるの？と思って。

　1.IPアドレスがDNSに登録されている状態
　　かつ
　2.そのホスト名を再度正引きしたら違うIPアドレスになっている

上みたいな状態の時だけは接続させないって認識であってるのかな？
レコードにいなかったり、DNSに接続出来ない時はそのままSSH接続出来るって事はわかるんだけど…
2014/10/18(土) 17:52:52.87
rhosts認証を突破されないためのオプションだよ。
2014/10/18(土) 20:43:50.93
>>113
rhosts認証って、sshd_configのデフォルト設定だと有効になっていないよね？
てことは、sshd_configがデフォルトの状態のまま利用されていたら、このオプションでやってくれることってログの記録時にホスト名でロギングしてくれるくらいって
認識であっているかな？

他の何か利用用途ってあります？
2014/10/18(土) 23:12:07.86
ホスト名でMatchさせてる場合
2014/10/19(日) 08:28:25.46
考えてもしょうがないからさっさとnoにしちゃえよ
117名無しさん＠お腹いっぱい。
垢版 |
2014/10/19(日) 15:35:56.74
>>116
> 考えてもしょうがないからさっさとnoにしちゃえよ
インシデントになったせいで、会議で説明しなきゃならないんだよ
2014/10/19(日) 16:35:04.00
自分がやるべきことを掲示板に丸投げしてドヤ顔かよｗ
2014/10/19(日) 19:45:24.65
ウソ教えられて、会議でそれを突っ込まれたら、2chで聞いたと言い訳するのかな?
120名無しさん＠お腹いっぱい。
垢版 |
2014/10/19(日) 20:27:25.16
>>118
>>119
とはいっても、サポートよりここの住人の方が詳しいし頼りになるし…
教えてもらった情報を元に海外のサイトとサポートで裏取しようと思ってたんだ

仕様の部分がもうよくわからなくて…
2014/10/19(日) 22:46:30.26
もうソース読んだ方が早いし確実じゃね。
2014/10/19(日) 23:12:00.13
かまってもらえるのは回答者にとって興味がある場合だけ
123名無しさん＠お腹いっぱい。
垢版 |
2014/10/20(月) 02:45:14.37
>>120
ホスト名で認証しない限りUseDNSはNoでいい。
今時IgnoreRhostsがnoになってることはないだろ。
デフォルトはrsh引きずってるだけ。
2014/10/20(月) 14:33:56.81
かまうと調子こいてソースは？とかエビデンスは？とか言い始めるぞｗ
2014/10/20(月) 14:34:29.62
なら>>121でよし。
2014/10/21(火) 17:09:45.04
というわけで、このスレでのSSHに関する情報交換は全面禁止となりました。
2014/10/21(火) 18:21:36.12
ログインシェルをsshに変えたいんですが、chshでやろうとするとエラーになります。
どうすればいいですか？
2014/10/21(火) 18:33:44.06
まずはその屏風からsshとかいうシェルを出してみてください
2014/10/21(火) 18:38:38.21
sshはすでにインストール済みで、動作確認済みです
2014/10/21(火) 18:45:40.37
>>127
>>129
出来ません、出来ません。
SSHにはそんなこと出来ません。
2014/10/21(火) 19:11:18.03
>>127
/etc/shellsにないんじゃないか。
ログインできなくなってもしらんけど。
2014/10/21(火) 19:24:07.55
/etc/shellsですか、ありがとうございます。
今環境がないので明日、客先で試してみます。
2014/10/21(火) 19:32:19.94
加齢臭コピペがくさいです
2014/10/21(火) 19:33:29.40
>>126
× このスレでのSSHに関する情報交換は全面禁止となりました
○ このスレでのSSHに関するサポート乞食は全面禁止となりました
2014/10/26(日) 13:36:46.74
その後 132 の姿を見る者は居なかった
2014/10/26(日) 21:06:55.48
132=129=127なのか、ネタレスだったのかはしらんけど、
本気でそれを客先でやったらとんでも無い事にはなるだろうなぁ…

sudoも出来ない状況だと、hddを別のに刺して直すしか思いつかん。
2014/10/26(日) 21:30:38.39
いつもの改変コピペ君だよ
2014/10/27(月) 14:20:34.23
UNIX板には死語レベルのコピペにマジレスするピュア()な中高年が多いですね
2014/11/23(日) 17:53:17.21
SSH で接続すると、日本語入力ができなくなるのだが、、これって無理なの？

Cygwin → LinuxMint
LinuxMint → LinuxMint(別ユーザー)

ターミナル または 、ssh -X で手元に表示したアプリでも日本語入力できない。
LinuxMint単独だと、 Mozcとかで日本語入力できてるんだけど。
2014/11/24(月) 04:27:36.36
普通はできるだろ…とりあえず文字コード合ってる？
2014/11/24(月) 04:36:11.60
できないじゃなくて、どうなるか書かないと。
2014/11/24(月) 05:16:14.38
>>139
この場合日本語入力はローカル側のが使われるんだよ。sshログイン先のホストのものではない。
必要な環境変数が設定されてないとエスパー。
2014/11/29(土) 18:39:05.96
>139-142

失礼しやした。

結論から言うと、リモート先で、
export XMODIFIERS="@im=fcitx"
と入力することによって、
GUIアプリ(Firefoxとかgvim)でも、日本語入力(Mozc)ができるようになりました。

で、後は、この export 文を設定ファイルで自動読み込みさせたい。
.bashrc に書くのはイマイチだし、
かといって、.ssh/rc に 書くと、
今度は、sshが、 xauth を読まなくなる。

これについては、
SSHのマニュアルか
http://www.unixuser.org/~euske/doc/openssh/jman/sshd.html
個人ページ
http://namazu.org/~tsuchiya/ssh/
http://uncorrelated.no-ip.com/20101225.shtml
を参考に対処できそう。
144143
垢版 |
2014/11/29(土) 21:40:37.22
自己レス

>>143

LinuxMint→LinuxMint へ、ssh -X でリモートログインした場合、
export XMODIFIERS="@im=fcitx"
すれば、gvim等のGUIアプリでも日本語入力のインターフェースが使えた。
だけど、~/.ssh/rc に記述すると xauth関連が良く分からないのであきらめ。
おとなしく、exportを手打ちするか、source することにした。

それから、
cygwin → LinuxMint へ ssh -X で リモートログインした場合は、
リモートの Xアプリ(gvim)にて、日本語入力インターフェースを使う方法が見つからなかった。

orz
2014/11/30(日) 04:07:35.69
.xsession
2014/11/30(日) 09:01:56.33
cat .ssh/id_rsa | ssh username@remotehost 'cat >> .ssh/authorized_keys; chmod 600 .ssh/authorized_keys'

これだと秘密鍵をremotehostに持ち出すことになるよね？
このあと特にエラーが出るわけでもないから初心者だと気づかないかも。
2014/11/30(日) 10:48:50.82
なんで秘密キーを公開キーのファイルに追記してんの？ｗ
2014/11/30(日) 10:54:42.92
>>146
公開鍵登録しろよ。多分id_rsa.pub
2014/12/01(月) 10:23:39.78
>>146
そんなやり方どこで聞いたんだ
150名無しさん＠お腹いっぱい。
垢版 |
2014/12/01(月) 11:04:16.75
>>147-149
川本安武とかいうバカが元凶のようだ。

http://books.google.co.jp/books?id=iUcoBQAAQBAJ&;lpg=PR1&hl=ja&pg=PA35#v=onepage&q&f=false
2014/12/01(月) 12:25:54.94
「~/」を書かないんだな
2014/12/01(月) 15:20:31.53
~/はシェルに依存だから。
>>や;も意図したとおりに解釈してくれないかも知れないが。
2014/12/03(水) 23:16:27.17
~/ を解釈しないシェルって何だ？
dashもbusyboxのshも解釈するぞ
2014/12/03(水) 23:38:30.85
純正シェル。~はcsh由来だよ。
2014/12/04(木) 00:06:43.07
/bin/shがThompson ShellとかBourne ShellでOpenSSHが入ってる環境とか
無理やり作ろうとしても大変だなｗｗ
2014/12/04(木) 01:00:08.15
商用UNIX環境で古いものだとそういうのもあるな
2014/12/04(木) 01:37:00.88
うん、ありますね。
で、それをわざわざ使わせて
「~/ はこのシステムでは使えない、だからスクリプトを書く時は~/を使うな」
と教え込むんでしょうか？
2014/12/04(木) 02:02:22.75
~ を解釈しないシェルで ~ を使ってしまう危険性より
ホームディレクトリ以外で >>150 のコマンドを実行してしまう危険性の方が高いんじゃないかな。
新着レスの表示
レスを投稿する

5ちゃんねるの広告が気に入らない場合は、こちらをクリックしてください。
ニューススポーツなんでも実況